Publié le 5 décembre 2025 à 19h23. Une nouvelle technique d’attaque, baptisée EtherHiding, permet aux cybercriminels de dissimuler des logiciels malveillants au sein de la blockchain, rendant leur détection et leur neutralisation particulièrement complexes. Les experts en cybersécurité tirent la sonnette d’alarme face à cette menace croissante, exploitant l’essor du Web3.
- Les experts mettent en garde contre une nouvelle méthode d’attaque, EtherHiding, qui cache des composants malveillants dans les contrats intelligents de la blockchain.
- La décentralisation de la blockchain et la popularité croissante du Web3 augmentent la surface d’attaque potentielle et rendent la mitigation difficile.
- Des mesures de protection sont recommandées, notamment le déploiement de règles de politique Windows et le blocage des points de terminaison RPC.
Les fournisseurs de cybersécurité et de technologies observent depuis 2025 une tactique d’attaque sophistiquée, appelée EtherHiding. Cette méthode insidieuse consiste à enfouir des éléments malveillants dans les contrats intelligents enregistrés sur la blockchain, un registre numérique décentralisé et distribué sur un vaste réseau.
La complexité de la blockchain, par sa nature même, rend cette attaque particulièrement difficile à contrer. La décentralisation implique de nombreux points d’entrée potentiels pour une attaque en plusieurs étapes. De plus, l’intérêt croissant des développeurs pour le Web3 – un ensemble d’écosystèmes en ligne décentralisés basés sur la technologie blockchain – a considérablement élargi la surface d’attaque potentielle.
« Ces chaînes d’attaque deviennent de plus en plus complexes. Même si vous n’êtes pas particulièrement intéressé par le Web3 ou une application qui y est liée, comprendre le fonctionnement de ce type d’attaque peut vous aider à renforcer votre posture de sécurité, tant au niveau des politiques que de la formation. »
Andrew Northern, chercheur principal en sécurité chez Censys
EtherHiding s’apparente à une variante de la technique d’injection de JavaScript connue sous le nom de « point d’eau », une attaque d’attente qui compromet un site web pour diffuser des logiciels malveillants à ses visiteurs. Dans le cas d’EtherHiding, les attaquants exploitent la bibliothèque JavaScript « éther », qui fournit des applications d’assistance pour les services web interagissant avec la blockchain, explique Andrew Northern.
Un récent article de blog publié le 21 novembre par Censys détaille comment des attaquants ont stocké des fragments de code JavaScript pour un faux CAPTCHA dans un contrat de la Binance Smart Chain. Ce code JavaScript, initialement injecté sur le site web d’une cible, interroge ensuite la blockchain pour extraire les éléments malveillants, pouvant conduire à l’exécution d’un voleur d’informations ou d’autres logiciels malveillants.
Pourquoi cette tactique blockchain est-elle si déroutante ? Les experts en cybersécurité rencontrent des difficultés à contrer cette menace pour plusieurs raisons.
- La bibliothèque d’éthers a des utilisations légitimes, sa simple présence n’indique donc pas nécessairement une activité malveillante, souligne Andrew Northern.
- Les auteurs d’EtherHiding peuvent rapidement modifier leurs charges utiles et payer des « frais de gaz » pour mettre à jour un contrat intelligent qu’ils contrôlent.
- Peterson Gutierrez, vice-président de la sécurité de l’information et RSSI par intérim chez Barracuda, explique que la blockchain offre aux attaquants un point d’attente décentralisé, difficile à neutraliser par les forces de l’ordre. (Barracuda a publié un article sur cette menace le 31 octobre.)
Google a émis un EtherWarning dans un article de blog du 16 octobre, signalant l’activité d’un groupe à motivation financière (désigné « UNC5142 ») qui utilise des sites web WordPress compromis et la blockchain pour distribuer des voleurs d’informations. Google a également identifié des acteurs nord-coréens déployant des tactiques pour voler des cryptomonnaies et propager des logiciels malveillants, et a recensé « environ 14 000 pages web contenant du JavaScript injecté, correspondant à des sites web compromis par UNC5142 ».
Pour se défendre efficacement, Andrew Northern recommande aux entreprises de déployer des règles de politique Windows associant l’utilisation de JavaScript à un éditeur de texte, afin que les fichiers JavaScript s’ouvrent par inadvertance en tant que fichiers texte, sans risque d’exécution.
De plus, compte tenu de l’adoption plus faible du Web3 que prévu par certains de ses partisans, de nombreuses organisations n’ont pas besoin de la technologie blockchain et devraient donc la bloquer en conséquence. Pour ces entreprises, Andrew Northern conseille de créer une liste de blocage pour les points de terminaison RPC (appel de procédure à distance) de type API, qui sont les URL facilitant la communication et les demandes de données dans une blockchain. (Certains contrats contiennent un emplacement de serveur bloquable, a-t-il précisé.)
Peterson Gutierrez souligne l’importance pour les professionnels de l’informatique de stopper les étapes clés de l’attaque, par exemple en sensibilisant les utilisateurs à la tactique frauduleuse du faux CAPTCHA, ou « ClickFix ».
« Trouver des moyens de briser la chaîne de destruction est ce sur quoi les professionnels de l’informatique devraient se concentrer. »
Peterson Gutierrez, vice-président de la sécurité de l’information et RSSI par intérim chez Barracuda
Evan Gordenker, directeur consultant à l’unité 42 de Palo Alto Networks, recommande aux entreprises d’appliquer des contrôles d’accès stricts pour les actions nécessitant des informations d’identification sensibles et de s’assurer que, dans ces situations, les appels à des contrats intelligents malveillants ne peuvent pas être effectués.
« Les professionnels de l’informatique sont la cible ici. »
Evan Gordenker, directeur consultant à l’unité 42 de Palo Alto Networks
« Les développeurs en particulier, mais aussi les informaticiens, selon l’organisation, se connecteront à des pages sensibles à partir de leurs machines personnelles. Si ces machines personnelles sont infectées par un voleur d’informations, ou si elles visitent un site web infecté par une charge utile EtherHiding, cela peut constituer un moyen très efficace pour un acteur malveillant de les cibler. »
Pour aller plus loin
